莫语闲语-CSDN博客

原创 ip白名单绕过

ip白名单绕过方式请求头绕过：X-Real-ip:xxxxx-forwarded-for:xxxxx-remote-IP:xxxx

2021-11-17 13:02:19 1926

漏洞描述跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。缺陷代码protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException { String input1 = req.getParameter("input1"); [..

2021-03-11 17:52:37 308

原创 java代码审计：SSRF

漏洞描述当Web服务器对用户提供的未经验证的目标参数发起请求时，将发生服务器端请求伪造（ssrf）。攻击者可以构造特殊的攻击链接传给服务端执行从而利用漏洞，一般用来在外网探测或攻击内网服务。此类漏洞可能允许攻击者访问内部服务或从您的Web服务器发起攻击。缺陷代码def doGet(value:String) = Action { WS.url(value).get().map { response => Ok(response.body) }}修复建议：

2021-03-11 17:16:06 566

原创 java代码审计：路径遍历

漏洞描述路径遍历是指应用程序接收了未经合理校验的输入参数用于进行与文件读取、写入、查看相关操作。攻击者可以通过输入特殊构造的文件名，来下载应用程序的执行文件或查看服务器中受保护目录下的文件、目录或者覆盖敏感数据。在大多数情况下，构造的文件路径的参数虽然未过滤处理，但不能由用户控制。如果是这样，不属于路径遍历漏洞的情况。缺陷代码:@GET@Path("/images/{image}")@Produces("images/*")public Response getImage(@javax.

2021-03-11 16:50:51 3242 2

转载反序列化工具ysoserial使用介绍

反序列化工具ysoserial使用介绍0x00 ysoserial是什么？ysoserial集合了各种java反序列化payload；下载地址：https://github.com/angelwhu/ysoserial0x01 基本使用方法在公网vps上执行:java -cp ysoserial-0.0.6-SNAPSHOT-BETA-all.jar ysoserial.exploit.JRMPListener 【port】 CommonsCollections1 '【commands】'

2021-02-23 11:25:41 6303 1

原创 java代码审计：SQL注入

漏洞原理所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．当应用程序使用输入内容来构造动态sql语句以访问数据库时，会发生sql注入攻击。如果代码使用存储过程，而这些存储过程作为包含未筛选的用户输入的字符串来传递，也会发生sql注入。java的特殊是有一些框架会托管一部分的数据库的操作，我们要了解一下漏洞

2021-02-22 11:55:45 596

原创 centos7创建定时任务

一.查看定时任务crontab -l如果命令不存在，安装 crontabs服务：yum install crontabs设置开机自启：systemctl enable crondsystemctl start crond123二.设置用户自定义定时任务：1、定时任务基本格式：*　　*　　*　　*　　*　　command分　时　日　月　周　命令第1列表示分钟1～59 每分钟用*或者 */1表示第2列表示小时1～23（0表示0点）第3列表示日期1～31第4列表示月份1～12第

2021-02-20 14:43:37 2014

qq_34778376的博客